PHP mysql_real_escape_string() защищает имя базы данных?

Уровень защиты, который вы ищете, обеспечивается обратными кавычками:

"SELECT * FROM `$db` WHERE 1";

Обратные кавычки используются для определения идентификаторов, которые в противном случае могли бы быть неоднозначными. (т. е. зарезервированные слова MySQL), и если вы принимают пользовательский ввод или имеют столбцы или базы данных с переменными именами, вам обязательно следует использовать обратные кавычки, иначе я обещаю, что в будущем у вас возникнут проблемы. Например, что, если бы у вас была система, в которой временное имя поля было создано с помощью некоторого пользовательского ввода, только оказалось, что поле в конечном итоге было названо update?

"SELECT field1,field2,update FROM table;"

Это терпит неудачу с треском. Тем не мение:

"SELECT `field`,`field2`,`update` FROM table"

работает просто отлично. (На самом деле это реальный пример из системы, над которой я работал несколько лет назад, в которой была эта проблема).

Это решает вашу проблему с точки зрения ввода плохого SQL. Например, следующий запрос просто вернет ошибку «неизвестный столбец», где test; DROP TABLE test — внедренный код атаки:

"SELECT * FROM `test; DROP TABLE test`;"

Однако будьте осторожны: SQL-инъекция по-прежнему возможна с помощью обратных кавычек!

Например, если ваша переменная $db содержала данные, в которых была обратная кавычка, вы все равно могли бы вставить некоторый SQL обычным способом. Если вы используете переменные данные для имен баз данных и полей, вы должны удалить из них все обратные кавычки, прежде чем помещать их в свое выражение, а затем квалифицировать их с помощью обратных кавычек один раз внутри.

$db = str_replace('`','',$db);
$sql = "SELECT * FROM `$db` WHERE 1";

Я использую оболочку базы данных, которая имеет отдельные функции для очистки данных и идентификаторов базы данных, и это то, что делает последний :)

Вы действительно должны изучить привязку ваших SQL-запросов.

Это защитит вас практически от всех SQL-инъекций. Это сводится к следующему:

(взято с PHP.net)

$stmt = mssql_init('NewUserRecord');

// Bind the field names
mssql_bind($stmt, '@username',  'Kalle',  SQLVARCHAR,  false,  false,  60);

// Execute
mssql_execute($stmt);

И PHP поддерживает связанные запросы практически во всех базах данных. Да, и, конечно же, вы все равно должны дезинфицировать все входные и выходные данные (дисплей).

Дополнительная информация: - https://php.net/manual/en/function.mssql-bind.php

Нет, mysql_real_escape_string здесь вам не поможет. Функция не является контекстно-зависимой (не может быть, потому что НЕ ИМЕЕТ никакого контекста), и это совсем другая модель угрозы.

Вам нужно пойти и проверить, что таблица существует, не отправляя введенное пользователем имя таблицы непосредственно на сервер. Лучшее решение — использовать серверный массив/справочную таблицу, содержащую имена таблиц, которые им разрешено использовать. Если они попытаются использовать что-то, чего там нет, не позволяйте им.

Если вам действительно нужны ВСЕ таблицы, то вы можете просто спросить у сервера "какие таблицы у вас есть?" и запустите его вывод (возможно, кешируя его в течение некоторого периода времени, чтобы каждый раз не запрашивать сервер) - но есть вероятность, что в конечном итоге у вас будет таблица, в которую вы не хотите копаться, и тогда вам нужно в любом случае использовать массив, так что просто сделайте это.

Вместо того, чтобы вставлять имя базы данных в запрос на получение, вы можете создать отдельную таблицу имен и идентификаторов баз данных. Затем добавьте в запрос только id. Затем вы можете найти соответствующее имя базы данных для этого идентификатора и использовать его. Затем вы можете убедиться, что полученный идентификатор является числовым (is_numeric), и вы также можете быть уверены, что пользователь может выбирайте только из баз данных, которые есть в вашем списке.

(Кроме того, это не позволит пользователям узнать имена баз данных и, возможно, использовать их где-то еще в SQL-инъекции на вашем сайте.)

Используя первый метод, вы анализируете имя базы данных, прежде чем использовать его в своем запросе, и убедитесь, что оно не содержит пробелов.

Поскольку в именах таблиц не используются пробельные символы, просто удалите их. Это сделало бы указанный выше $DB RealDatabaseWHERE1;DELETEFROMRealDatabase..... Это сделало бы запрос недействительным, но предотвратило бы ошибку.

Если вы хотите предотвратить подобные «хакерские» вещи, просто выполните explode(' ', $db), а затем получите массив результатов [0]. Вот бы получить первую часть (RealDatabase) и ничего больше.

Лучше всего использовать его каждый раз, когда у вас есть сомнительные данные. Если вы сами указываете таблицу и нет места для вмешательства, нет необходимости избегать ее. Если ваши пользователи решают что-то, что потенциально может быть запущено как запрос, избегайте этого.

Если вам действительно нужно использовать получение от пользователя (плохо, плохо, плохо) для вашей базы данных, используйте следующий стиль кодирования...

$realname = '';
switch ($_GET['dbname']){
    case 'sometoken' : $realname = 'real_name'; break;
    case 'sometoken1' : $realname = 'real_name1'; break;
    case 'sometoken2' : $realname = 'real_name2'; break;
    case 'sometoken3' : $realname = 'real_name3'; break;
    case 'sometoken4' : $realname = 'real_name4'; break;
    case default : die ('Cheeky!!!');
}

$query = "SELECT * FROM `{$realname}` WHERE 1";

или как вариант...

$realname = $tablenames[$_GET['dbname']];

if (!$realname)
    die ('Cheeky!!!');

Использование этих двух способов или аналогичного кодирования защитит ваш ввод от неожиданных значений.

Это также означает, что пользователь никогда не увидит настоящие имена таблиц или баз данных, из которых он может извлечь информацию.

Убедитесь, что вы сначала проверили содержимое $_GET['dbname'], чтобы убедиться, что оно действительно, иначе будут выданы предупреждения.

Я все еще говорю, что это очень плохой дизайн, он напоминает разрешение пользователям указывать имя файла и передавать его функциям ввода-вывода без проверки. Это просто слишком небезопасно для рассмотрения.

Безопасность слишком важна, чтобы позволить лени править.